Droit Vivant · Droit du numérique — DSA · 1er juillet 2026

X, le réseau d'Elon Musk, premier condamné du DSA : 120 millions d'euros pour un badge bleu trompeur

Principe-clé : le règlement européen sur les services numériques (DSA) sanctionne les manquements de transparence des très grandes plateformes — interface trompeuse, registre publicitaire opaque, accès aux données bloqué — indépendamment de tout contenu illicite hébergé.

Textes de référence

Règlement (UE) 2022/2065 — Digital Services Act (DSA)
Art. 25 DSA — interdiction des interfaces trompeuses (« dark patterns »)
Art. 39 DSA — registre public des publicités des très grandes plateformes
Art. 40 DSA — accès des chercheurs agréés aux données publiques
Art. 74 DSA — amendes jusqu'à 6 % du chiffre d'affaires mondial annuel

L'affaire

Commission européenne, décision du 5 décembre 2025 (communiqué IP/25/2934) — première décision de non-conformité rendue sous le DSA. Visée : X (anciennement Twitter, racheté par Elon Musk fin 2022), qualifiée de très grande plateforme en ligne. Trois griefs : le badge « certifié » est devenu un abonnement payant sans vérification réelle d'identité, trompant les utilisateurs sur l'authenticité des comptes ; le registre publicitaire ne permet pas d'identifier les annonceurs ni le contenu réel des publicités ; les chercheurs agréés se heurtent à des conditions d'utilisation qui bloquent l'accès aux données publiques. Amende : 120 M€, avec délais de 60 et 90 jours ouvrés pour se mettre en conformité. X a formé un recours devant le Tribunal de l'UE en février 2026.

Pourquoi c'est important

Pour un professionnel de la sécurité, cette décision élargit le périmètre de la conformité réglementaire au-delà de la seule modération de contenu : la conception d'interface (dark patterns), l'architecture des registres publics et les mécanismes de contrôle d'accès aux données (art. 40) deviennent des surfaces d'audit à part entière. Un badge de vérification sans contrôle d'identité réel est désormais qualifiable juridiquement de pratique trompeuse — tout comme un accès mal conçu à une API peut être qualifié de manquement réglementaire. L'article 40 crée par ailleurs un cadre légal d'accès aux données de plateforme à des fins de recherche sur les risques systémiques, un point de référence pour quiconque conçoit ou audite des pipelines de collecte de données publiques.

Mini-glossaire

DSA (Digital Services Act): Règlement (UE) 2022/2065 encadrant la responsabilité, la modération et la transparence des services numériques et plateformes.
VLOP (très grande plateforme en ligne): Plateforme touchant plus de 45 millions d'utilisateurs actifs mensuels dans l'UE, soumise à des obligations renforcées de transparence et d'audit.
Dark pattern (interface trompeuse): Conception d'interface visant à orienter ou tromper l'utilisateur au détriment de son consentement libre et éclairé ; interdit par l'article 25 DSA.
Chercheur agréé (vetted researcher): Chercheur habilité au sens de l'article 40 DSA à accéder aux données publiques d'une VLOP pour étudier les risques systémiques.